Pgpool-IIにおける複数の脆弱性

概要

Pgpool Global Development Groupが提供するPgpool-IIには、複数の脆弱性が存在します。

影響を受ける製品

CVE-2026-92867、CVE-2026-92869、CVE-2026-92870、CVE-2026-92871、CVE-2026-92872、CVE-2026-92873

• Pgpool-II バージョン 4.7.0から4.7.2まで
• Pgpool-II バージョン 4.6.0から4.6.7まで
• Pgpool-II バージョン 4.5.0から4.5.12まで
• Pgpool-II バージョン 4.4.0から4.4.17まで
• Pgpool-II バージョン 4.3.0から4.3.20まで
• Pgpool-II 3.5系から4.2系までのすべてのバージョン

CVE-2026-92868

• Pgpool-II バージョン 4.7.0から4.7.2まで
• Pgpool-II バージョン 4.6.0から4.6.7まで
• Pgpool-II バージョン 4.5.0から4.5.12まで
• Pgpool-II バージョン 4.4.0から4.4.17まで
• Pgpool-II バージョン 4.3.0から4.3.20まで
• Pgpool-II 4.0系から4.2系までのすべてのバージョン

想定される影響・悪用状況

想定される影響は各脆弱性により異なりますが、次のような影響を受ける可能性があります。

• Pgpool-IIのプロセスが異常終了したり、任意のコードを実行されたりする（CVE-2026-92867）
• クライアント証明書の認証認証：アクセスしてきた相手が名乗っている通りの本人であることを確認する仕組み。詳しく見る →が回避される（CVE-2026-92868）
• Pgpool-IIのプロセスが異常終了する（CVE-2026-92869、CVE-2026-92870）
• ウォッチドッグプロセスが異常終了する（CVE-2026-92871）
• クラスタに関する情報が漏えいする（CVE-2026-92872）
• 任意のウォッチドッグノードがリーダーノードに昇格する（CVE-2026-92873）

深刻度

各脆弱性には異なるCVSSスコアが付与されています。

• 境界外書き込み（CVE-2026-92867）のCVSSスコアは8.7
• 不適切な証明書検証（CVE-2026-92868）のCVSSスコアは6.9
• 境界外書き込み（CVE-2026-92869）のCVSSスコアは7.1
• スタックベースのバッファオーバーフロー（CVE-2026-92870）のCVSSスコアは8.7
• NULLポインタ参照（CVE-2026-92871）のCVSSスコアは8.7
• ログファイルからの情報漏えい（CVE-2026-92872）のCVSSスコアは5.3
• 認証アルゴリズムの不適切な実装（CVE-2026-92873）のCVSSスコアは6.9

対策

アップデートパッチ適用：ソフトウェアやファームウエアに発見された脆弱性や不具合を修正するための更新プログラムを適用し、システムを安全な状態に保つこと。詳しく見る →する
開発者が提供する情報をもとに、最新版へアップデートしてください。
本脆弱性は、次のバージョンで修正されています。

• Pgpool-II 4.7.3
• Pgpool-II 4.6.8
• Pgpool-II 4.5.13
• Pgpool-II 4.4.18
• Pgpool-II 4.3.21

Pgpool-II 3.5系から4.2系まではサポートが終了しているため、修正版がリリースされません。4.3より前のバージョンを利用している場合は、上記最新バージョンへアップグレードしてください。